Does the Readout Bypass Leak the Input? A Feature-Visibility Audit of Hybrid Quantum-Classical Models

In het opkomende veld van quantum machine learning proberen onderzoekers computers te leren patronen te vinden met behulp van de vreemde wetten van de quantumfysica. Deze systemen nemen vaak een grote hoeveelheid gewone data, persen deze samen in een minuscule quantumtoestand en meten vervolgens een paar resultaten om een voorspelling te doen. Omdat de data verborgen zit in een quantumsysteem, hoopten sommige wetenschappers dat dit proces fungeert als een natuurlijk schild, waardoor de oorspronkelijke informatie veilig blijft voor nieuwsgierige ogen. Dit idee is bijzonder belangrijk voor een methode genaamd federated learning, waarbij veel verschillende computers samenwerken aan een gedeeld probleem zonder ooit hun privédata naar een centrale server te sturen. In plaats daarvan sturen ze alleen kleine updates over hoe hun modellen leren. De hoop is dat deze updates niets onthullen over de specifieke records waarmee de computers begonnen.

Een recente studie door onderzoekers van Workday AI Research daagt een specifiek ontwerp uit dat bedoeld is om deze quantumsystemen te verbeteren, en laat zien dat het mogelijk niet de privacybescherming biedt die velen veronderstellen. Het team onderzocht een hybride model dat probeert het beste van beide werelden te krijgen: het gebruikt een quantumcircuit om een deel van de data te verwerken, maar houdt ook de oorspronkelijke, onbewerkte data zichtbaar voor het systeem om de nauwkeurigheid te helpen verbeteren. Dit ontwerp, bekend als een readout-side residual hybrid, verbindt de ruwe input direct met het uiteindelijke besluitvormingsgedeelte van het model. De onderzoekers wilden weten of deze afkorting, die het model helpt beter te leren, ook per ongeluk de privédata teruglekt naar de server. Ze ontdekten dat dit in veel gevallen precies dat doet, waardoor de server de oorspronkelijke data met verbazingwekkende helderheid kan reconstrueren, zelfs zonder de quantumcode te hoeven kraken.

De studie richtte zich op een specifiek type privacyrisico waarbij een server, die eerlijk maar nieuwsgierig is, de wiskundige updates van de computer van een cliënt ontvangt. In een typisch scenario ontvangt de cliënt een update gebaseerd op één voorbeeld van data, zoals een record van de chemische samenstelling van een wijn of de medische geschiedenis van een patiënt. De onderzoekers simuleerden deze uitwisseling en stelden een eenvoudige vraag: als de server de update ziet, kan het dan achteruitwerken om te achterhalen wat de oorspronkelijke data was? Ze testten dit op twee veelvoorkomende datasets, één die de kenmerken van wijn omvat en een andere die gegevens over borstkanker bevat. Ze vergeleken modellen die alleen de door quantum verwerkte data gebruikten met modellen die de ruwe data naast de quantumresultaten bevatten.

De resultaten waren onomwottelijk. Voor de modellen die de ruwe data bevatten, was de server in staat de oorspronkelijke records met extreme precisie te reconstrueren. In technische termen was de kwaliteit van de reconstructie zo hoog dat het verschil tussen de originele data en de herstelde data bijna onzichtbaar was, met metingen variërend van 73 tot 96 decibel. Dit niveau van helderheid betekent dat de server de exacte cijfers kon zien waarmee de cliënt begon. De onderzoekers merkten op dat dit gebeurde vanwege een bekende zwakte in de bouw van deze modellen: de eerste stap van de berekening laat een directe wiskundige sporen van de input achter in de update. Het quantumgedeelte van het model was niet nodig om deze data bloot te leggen; het pad van de ruwe data alleen was al voldoende om het prijs te geven.

Toen de onderzoekers keken naar de modellen die alleen de door quantum verwerkte data gebruikten, was het beeld complexer maar nog steeds onthullend. Op de volledige set van data kenmerken was de reconstructie slecht, wat suggereerde dat de quantumcomponent enig deel van de informatie verborg. Echter, wanneer zij zich concentreerden op slechts zes specifieke kenmerken die het quantumsysteem daadwerkelijk verwerkte, kon de server die specifieke getallen met een zeer hoge nauwkeurigheid reconstrueren, variërend van 54 tot 96 decibel. Dit betekent dat hoewel het quantumsysteem de kenmerken die het negeert misschien verbergt, het de kenmerken die het daadwerkelijk gebruikt niet verbergt. De studie benadrukt dat de quantumcodering geen magisch schild bood voor de data die het aanraakte; de data was nog steeds herstelbaar via de wiskundige updates die naar de server werden gestuurd.

Een cruciaal onderdeel van de studie was het corrigeren van een veelvoorkomend misverstand over hoe privacy wordt gemeten. Eerdere evaluaties van soortgelijke systemen vertrouwden op een test genaamd een membership inference attack, die vraagt of een specifiek record is gebruikt om het model te trainen. In deze tests leken de resultaten vaak op een muntworp, wat suggereerde dat het systeem privaat was. Echter, de onderzoekers toonden aan dat deze test niet meet of de feitelijke data kan worden opgebouwd. Een systeem kan goed zijn in het verbergen of een record is gebruikt, en toch de server in staat stellen om het record zelf perfect te reconstrueren. De studie betoogt dat privacy-audits moeten kijken naar welke data daadwerkelijk zichtbaar is voor de server en hoe goed die specifieke data kan worden hersteld, in plaats te vertrouwen op bredere, minder precieze tests.

De onderzoekers merkten zorgvuldig de beperkingen van hun bevindingen op. Hun werk was een simulatie met een klein aantal datapunten en één stap van leren, en geen test van een groot, echt wereldwijd netwerk met vele stappen en complexe verdedigingen. Ze beweerden niet dat dit lek optreedt in elk mogelijk scenario van quantum learning, noch bewezen ze dat de volledige quantumcircuit omgekeerd kan worden om verborgen data te onthullen. Echter, voor de specifieke architectuur die zij testten, was de conclusie duidelijk: de ontwerpkeuze om ruwe data naast quantumkenmerken te bevatten, creëert een direct pad voor datalekken. De studie dient als een waarschuwing dat het toevoegen van ruwe data om de nauwkeurigheid te verbeteren, de privacyvoordelen van quantumverwerking teniet kan doen, en dat toekomstige systemen ontworpen moeten worden met een duidelijk begrip van welke stukken informatie precies worden blootgesteld.

Uiteindelijk biedt het artikel een nieuwe manier om naar privacy in quantum machine learning te kijken. Het suggereert dat de aanwezigheid van een quantumcomputer niet automatisch privacy garandeert, vooral wanneer het systeem efficiënt is ontworpen door gebruik te maken van ruwe data. De onderzoekers pleiten voor een meer zorgvuldige rapportage in het vakgebied, waarbij zij wetenschappers oproepen om exact te specificeren welke delen van de data zichtbaar zijn in de updates en om privacy te meten op basis van het vermogen om die specifieke delen te reconstrueren. Door dit te doen, kan het veld voorkomen dat een gebrek aan datavisibiliteit wordt verward met werkelijke bescherming, zodat de belofte van quantum machine learning niet wordt ondermijnd door eenvoudige, vermijdbare lekken.